OpenVPN pordil 53: kolm vestlust, mida inimesed segamini ajavad
Lõpp-punkti nime otsing, krüpteeritud transport ja DNS pärast tunnelit on kolm eraldi vestlust. Tehke kindlaks, milline etapp ebaõnnestus, enne kui muudate porti või resolverit.
Aruanded, mis väidavad, et VPN on pordil 53 blokeeritud, segavad omavahel kolm tähelepanekut, mis ebaõnnestuvad erinevatel põhjustel. Lõpp-punkti nime lahendamine toimub enne, kui ükskõik milline tunnel on olemas, krüpteeritud transport on eraldi vestlus ja hiljem tehtud DNS-päringud on kolmas. Igal neist on oma tõrkesignatuur, ja ainult üks neist käsitleb üldse DNS-i.
Sorteerige paketid eesmärgi järgi enne, kui midagi muudate, sest parandus järgib etappi.
Kolm vestlust, üks pordi number
Esimene vestlus on lõpp-punkti nimeotsing: teie masin küsib oma seadistatud resolverilt, kus asub vpn.example.com, ja see vastus saabub tavalise DNS-i kaudu enne, kui klient saadab ühegi tunneli paketi. Teine on OpenVPN-i transport ise, mis ühendub aadressiga, mille otsing andis, sellel protokollil ja pordil, mille profiil nimetab. Kolmas toimub pärast tunneli püstitamist, kui rakendused küsivad nimesid ja tõugatud resolveri seaded otsustavad, kes vastab.
Need kolm võivad õnnestuda või ebaõnnestuda sõltumatult. Klient võib oma lõpp-punkti suurepäraselt lahendada ja siiski kuulajat mitte kätte saada, ning ta võib luua tunneli, samal ajal kui iga sisemine nimeotsing ebaõnnestub, sest DNS-i seaded ei jõudnud kunagi kohale.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Lugege tabelit kontrollloendina, mitte kirjeldusena. Kui lõpp-punkti nimi ei lahene, ei saa miski hilisem töötada ja tunnel ei käivitu kunagi.
Pordi number ei nimeta rakendust
Port 53 kannab DNS-i kokkuleppe kohaselt ja OpenVPN-i operaator võib sinna ka kuulaja avaldada, mistõttu on number halb identifikaator. OpenVPN-i sessioon UDP 53 peal on ikka OpenVPN-i sessioon, ja DNS-päring pordil 53 olevale serverile ei ütle midagi selle kohta, kas tunnel on lubatud. Profiili read proto ja remote määravad välise lõpp-punkti; pordi number iseenesest ei määra midagi.
Diagnoosimisel lõikab see mõlemas suunas: üldine UDP-proov pordile 53 tõestab, et port vastab, mitte et VPN-teenus vastab. Testige päris kliendi ja päris profiiliga, sest ainult see harjutab käepigistust, mida teenus ootab.
Tõestage kuulaja olemasolu enne, kui süüdistate võrku
Serveris kinnitage ss -lunp | grep 53 abil, mis on seotud, ja võrrelge seda profiili protokolli ja pordiga. Käivitage klient kliendi võrgust suurema detailsusega, et logi näitaks, millist aadressi ja transporti see proovis. Kui server kuulab ja kliendi paketid ei saabu, keelduvad tee või poliitika neist, ja see on vestlus võrgu omanikuga, mitte põhjus porti muuta.
Teine port aitab ainult siis, kui teenus tõesti seal kuulab ja juurutus seda lubab. Kuulaja liigutamine, et hoiduda hallatava võrgu filtreerimisest, on poliitikaotsus, mitte tõrkeotsingu samm. Küsige võrgu omanikult, mis on lubatud, enne kui teenust muudate, sest poliitikat rikkuv möödasõit suletakse hiljem niikuinii. Kirjutage see vastus profiili kõrvale, et järgmine inimene taotlust ei kordaks.
Kontrollige DNS-i pärast tunnelit, eraldi
Kui tunnel on püsti, uurige resolveri olekut VPN-liidesel ja pärige ühte sisemist ja ühte avalikku nime. Kui sisemised nimed ebaõnnestuvad, samal ajal kui tunnel kannab liiklust, ei rakendatud tõugatud DNS-i seadeid, mis on kliendi integreerimise, mitte transpordi küsimus. Kui avalikud nimed ebaõnnestuvad ja sisemised töötavad, teeb jagatud tunneli poliitika seda, milleks see seadistati.
Jätke DNS-i muudatused resolveri omanikule. Hallatava resolveri seadistuse ülekirjutamine, et üks test läbi läheks, võib rikkuda privaatseid nimesid kõige muu jaoks masinas. Kui tunnel tõukab resolverit ja klient eirab seda, parandage kliendi integreerimist, selle asemel et lisada staatiline kirje kuhugi mujale. Staatilised kirjed varjavad tõrget, kuni keegi võrku vahetab. Kirjutage üles, milline resolver peaks vastama igale nimeruumile.